CVE-2025-9858: Stored XSS w wtyczce Auto Bulb Finder dla WordPress

Co wiadomo

Wtyczka Auto Bulb Finder dla WordPress do wersji 2.8.0 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'abf_vehicle' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, defraudacji danych lub innych działań szkodliwych dla użytkowników i administratorów serwisu. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Auto Bulb Finder i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'abf_vehicle' do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference